El 7 de agosto de 2026 se publicó en el Diario Oficial de la Federación (DOF) el Acuerdo por el que se modifican las Reglas de Carácter General (RCG) a que se refiere la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI).
Esta modificación forma parte del proceso de implementación de la reforma a la LFPIORPI publicada en julio de 2025. Varias de las obligaciones que ahora desarrollan las RCG, como el enfoque basado en riesgos, la capacitación, los mecanismos automatizados y la auditoría, ya habían sido incorporadas a la ley.
Lo que hacen las reglas es precisar cómo deberán cumplirse esas obligaciones en la práctica: qué elementos deberán considerarse, qué procedimientos tendrán que implementarse, qué información deberá conservarse y, en varios casos, a partir de cuándo comenzarán a operar. A continuación, los detalles.
ÚNETE A IDC en nuestro canal de Whatsapp
¿Cómo deberá aplicarse el enfoque basado en riesgos?
Las RCG desarrollan la obligación de evaluar, con un enfoque basado en riesgos, la exposición de quienes realizan actividades vulnerables.
Para ello deberá establecerse una metodología que permita identificar, analizar, medir y mitigar los riesgos derivados de los actos u operaciones, los tipos de clientes o usuarios, los países y áreas geográficas involucrados y, cuando corresponda, las transacciones y canales utilizados.
La evaluación deberá partir de información de la propia actividad y tomar en cuenta la Evaluación Nacional de Riesgos que dé a conocer la Unidad de Inteligencia Financiera (UIF).
Sus resultados también deberán reflejarse en las políticas y procedimientos internos y utilizarse para determinar si los controles existentes son suficientes o requieren ajustes.
¿Cómo se clasificará el riesgo de cada cliente?
Las RCG desarrollan también la forma en que deberá evaluarse individualmente a los clientes o usuarios.
El modelo deberá contemplar, como mínimo, tres clasificaciones: riesgo bajo, medio y alto. Para determinar el nivel correspondiente deberán considerarse las características del cliente y su comportamiento transaccional.
Además, deberá establecerse un perfil transaccional que permita conocer cuál es el comportamiento esperado de cada cliente a partir de elementos como el monto, número y frecuencia de sus operaciones, así como el origen y destino de los recursos.
Esta información servirá para detectar cambios o comportamientos que se aparten de ese perfil y determinar las medidas que correspondan.
Se desarrolla la identificación del beneficiario controlador
Las RCG precisan el procedimiento que deberá seguirse para identificar al beneficiario controlador de personas morales y fideicomisos.
Tratándose de personas morales, primero deberá buscarse a la persona física o grupo de personas físicas que posea, directa o indirectamente, el 25 % o más del capital social.
Cuando no sea posible identificar el control de esta manera, deberán analizarse otras formas de ejercerlo y, como último criterio, identificar a quien ocupe la posición administrativa de mayor grado o de alta dirección.
Además, deberá documentarse el procedimiento seguido y conservarse la información y documentación que sustenten esa determinación.
Accede a herramientas premium y lleva tu actualización profesional al siguiente nivel. [Conoce todo lo que incluye nuestra membresía y únete hoy].
¿Cómo deberá cumplirse la obligación de capacitación?
La capacitación deberá dirigirse, entre otros, a miembros del consejo de administración, administrador único, directivos, funcionarios, la persona representante encargada de cumplimiento y determinados empleados que intervengan en la atención al público, identificación y conocimiento de clientes, presentación de avisos o auditorías.
Deberá impartirse por lo menos una vez al año y comprender temas relacionados con la LFPIORPI, su Reglamento, las RCG, el manual de políticas internas, las actividades vulnerables realizadas y los riesgos identificados.
También se establecen requisitos para quienes impartan la capacitación, evaluaciones para acreditar los conocimientos adquiridos y la conservación de la evidencia que permita demostrar su cumplimiento.
¿Qué deberán hacer los mecanismos automatizados?
Se precisan las funciones mínimas de los mecanismos automatizados previstos en la LFPIORPI.
Entre ellas está administrar los expedientes de identificación; concentrar las operaciones realizadas con un mismo cliente; efectuar acumulaciones; monitorear el perfil transaccional; proporcionar información para la metodología de riesgos; ejecutar el modelo de clasificación de clientes y generar alertas.
Su diseño deberá ser adecuado al volumen, naturaleza y complejidad de las operaciones y al riesgo de quien lleva a cabo la actividad vulnerable.
Se precisa cuándo se considera realizado el acto u operación para presentar avisos
Otro cambio importante es que las reglas establecen qué fecha deberá tomarse como la del acto u operación para efectos de contar el plazo máximo para presentar el aviso correspondiente.
Esto es relevante porque la fecha no será la misma para todas las actividades vulnerables.
Por ejemplo, en la venta de inmuebles, la comercialización o intermediación de metales y piedras preciosas, joyas o relojes, la subasta o comercialización de obras de arte y la comercialización o distribución de vehículos, se considerará realizada la operación cuando esta se tenga por liquidada y se alcance el umbral de aviso.
En juegos, concursos y sorteos, la fecha podrá ser aquella en que se tenga por liquidada la venta del boleto, ficha o comprobante similar, o aquella en que se entregue el premio, según corresponda.
Para tarjetas de crédito o de servicios, se tomará el último día del mes al que corresponda el consumo mensual objeto del aviso.
En tarjetas prepagadas e instrumentos de almacenamiento de valor monetario, será la fecha en que se tenga por liquidada su emisión, comercialización o abono.
En servicios de blindaje, se considerará la fecha en que se tenga por liquidado el pago del servicio; mientras que, para traslado o custodia de dinero o valores, será aquella en que se tenga por concluido el servicio.
En servicios profesionales, la fecha relevante será aquella en que el prestador realice la operación financiera en representación o por instrucción del cliente o usuario.
Tratándose de donativos, será la fecha en que se reciba el recurso y se alcance el umbral correspondiente.
En activos virtuales, se considerará la fecha en que se tenga por concluido el acto u operación y se alcance el umbral aplicable.
Y para la recepción de recursos destinados a desarrollos inmobiliarios, se atenderá a la fecha en que se reciba y destine la última aportación al desarrollo correspondiente dentro del mes calendario.
La precisión es importante porque permite determinar con mayor claridad desde cuándo comienza a correr el plazo para presentar el aviso.
En tarjetas de crédito o de servicios, se considerará como acto u operación el gasto mensual acumulado de la tarjeta.
En la recepción de recursos destinados a desarrollos inmobiliarios, podrán incluirse en un solo aviso las operaciones realizadas durante el mismo mes calendario, siempre que los recursos se destinen al mismo desarrollo y que no se exceda el plazo legal para reportarlos.
¿Quieres saber más? ¡Sigue a IDC en Google News!
¿Cómo funcionará la auditoría en materia antilavado?
La revisión será anual y deberá evaluar tanto el cumplimiento de las disposiciones aplicables como la efectividad de las medidas implementadas.
El grado de riesgo determinará quién podrá efectuarla. Para quienes presenten riesgo bajo o medio podrá intervenir un área de auditoría o control interno que reúna los requisitos establecidos. Cuando el riesgo sea alto, deberá efectuarla una persona auditora externa independiente.
El dictamen deberá revisar individualmente las obligaciones y calificarlas como: cumple, cumple mayoritariamente, cumple parcialmente, no cumple o no aplica.
Además, los hallazgos deberán acompañarse de acciones correctivas, recomendaciones, responsables y plazos para su atención.
¿Cuándo comenzarán a operar las distintas disposiciones?
Aunque el acuerdo entrará en vigor, como regla general, el 30 de noviembre de 2026, esto no significa que todas las disposiciones desarrolladas por las reglas comiencen a operar ese día.
El 1o., de marzo de 2027 deberá estar disponible la evaluación con enfoque basado en riesgos. Para quienes ya estaban registrados y hubiera transcurrido el plazo correspondiente, también deberá estar actualizado el manual de políticas internas.
A partir de esa misma fecha se aplicarán, respecto de los actos u operaciones que se realicen, las disposiciones sobre clasificación del grado de riesgo, conocimiento del cliente o usuario e identificación del beneficiario controlador. Los procedimientos de selección de personal se aplicarán a las nuevas contrataciones efectuadas desde el 1o., de marzo de 2027.
El primer periodo anual de capacitación comprenderá del 1o., de enero al 31 de diciembre de 2027.
Quienes realicen la actividad vulnerable relacionada con activos virtuales y ya estén dados de alta deberán efectuar la actualización correspondiente a más tardar el 30 de mayo de 2027.
Los mecanismos automatizados deberán estar implementados a más tardar el 1o., de junio de 2027 y contener la información de los actos u operaciones llevados a cabo desde esa fecha.
Respecto de las notificaciones electrónicas, la Secretaría de Hacienda y Crédito Público contará con ocho meses a partir de la entrada en vigor del acuerdo para implementar los mecanismos tecnológicos necesarios. Ese plazo concluye el 30 de julio de 2027.
La Consulta PEP 2.0 podrá utilizarse a partir del 30 de agosto de 2027.
Los avisos de 24 horas por sospechas, hechos o indicios tienen una regla distinta. Su aplicación dependerá de la modificación de los formatos oficiales de avisos e informes: podrán enviarse seis meses después de que entre en vigor la resolución que realice esa adecuación.
Finalmente, el primer periodo sujeto al régimen de auditoría desarrollado por las reglas comprenderá del 1o., de enero al 31 de diciembre de 2028. La revisión deberá efectuarse durante los primeros tres meses de 2029 y el dictamen entregarse a más tardar el último día hábil de marzo de ese año.
